- Shipped
- 2026년 9월 23일 오후 12:42 UTC
- Author
- Kamo
- Commit
- 19505fa
CommerceMarketController의 소매 아래 모든 get/update/delete-by-uid 핸들러 하위 리소스 (카테고리, 브랜드, 속성/값, 이미지, 변형, 태그, 리뷰, 고객, 고객 계층, 세금 클래스 / 존 / 레이트, 할인, 가격 lists/entries의 선물 카드, 위치, 재고 수준/조정, 선박 Zones/methods의 운반대, 선적, 손수레/cart 품목, 초안 순서, 순서 참고) bare findById(uid)/deleteById(uid)를 통해 행을 해결했습니다. 콜러의 조직에 속한 행을 확인합니다. 모든 인증 org의 회원은 다른 조직의 행을 읽고 편집하거나 삭제할 수 있습니다. uid를 추측하거나 enumerating - 고객을 위해 (긴급) 이것은 이름, 이메일 및 지출의 PII 누출; 기프트 카드, 재고 수준 및 카트 합계는 다른 tenant의 돈 및 재고 수에 접근을 썼습니다. getMarketVendors는 동일한 간격을 가지고 있습니다: 그것의 POST/PUT/DELETE는 이미 주사합니다 findByIdAndOrganizationId를 통해 시장을 해결했지만, GET은하지 않았다. orgId 스레드에 의해 고정 이러한 검색의 모든 것: - 자신의 조직 열 (그들의 대부분)과의 관계 새로운 findByUidAndOrganizationId 저장소 방법을 통해 미러링 기존 **************** 제품 정보 (이 entities' id 필드는 `uid`, not `id`)입니다. - 자신의 조직의 열을 가진 기업 (제품 이미지/variants 그들의 제품을 통해, 속성 값은 속성을 통해, 카트 아이템을 통해 그들의 손수레, 가격표 항목을 통해 그들의 가격표) 범위 새로운 **************** 부모의 org에 가입하는 쿼리. - 요청 몸에서 verbatim을 찍은 창조 시간 외국 열쇠의 손 (시장 ID, 부모 범주 ID, 고객 계층 ID, 세금 영역 / 클래스, 이미지/variant cross-link, 선적의 운반대/위치, 초안 순서의 저장된 주소)는 동일한 org-scoped 조회를 얻었습니다, 동일을 닫습니다 쓰기 시간에 격차의 클래스, 그냥 id 읽기 / 업데이트 / 삭제. - lookupMarket 및 새로운 lookupOffering (id, orgId) 과부하 집중 이것에 대한 모든 생성 핸들러는 이전에 그들을 unscoped라고. - getMarketVendors는 이제 findBy를 통해 시장을 해결합니다. IdAndOrganization이 목록 공급자의 앞에, 그것의 자신의 siblings 일치. 모든 경우 외국의 행은 이제 누락 된 것과 똑같이 답변합니다. 예외, 같은 메시지, 같은 HTTP 응답 handler 이미 생성 나쁜 uid - 새로운 정보는 수정 자체에 의해 누출되지 않습니다. 대량 할당: updateGiftCard 더 이상에서 현재Balance를 받아들입니다 요청 몸. 기존의 RoleRightType (MANAGE PRICING, MANAGE ORDERS, ...) 명확하게 coordinator의 서 있는 수동 균형 조정을 커버하십시오 우리는 한 발명하지 않았다; 같은 회원은 여전히 편집 할 수 있습니다 카드의 앞에 정확하게 다른 분야. 코디네이터 참고 : kamo-internal's MarketDiscountsTab.tsx 기프트 카드 편집 대화 상자는 오늘 현재 상태를 보내고 그 필드는 이제 침묵적으로 무시됩니다 - 전용 조정 균형 endpoint (mirroring /stock-levels/{uid}/adjust)는 자신의 권리 뒤에 올바른 수정 및 제품 결정이 필요하며, 다른 새로운 RoleRightType이 아닙니다. 이 서명을 재 승인하면서도 고정 : createShipment orderId를 잘못된 곳에서 읽으십시오 (컨트롤러는 orgId를 통과했습니다. orderId가 속한 위치; UI는 항상 orderId를 보냅니다 POST 몸) - 그것은 지금 orderId를 몸에서 읽습니다, 어떤 모든 콜걸 이미 보냅니다. 이것은 보안이 아닌 기능적인 수정입니다. 테스트: RetailServiceOrgScopingTest 및 *********** repository 패턴 당 하나의 대표 리소스를 커버 (org 컬럼에, 을 통해-parent join) 외국에 읽는 / 업데이트 / 삭제없이 실패 해결과 같은-org 호출 성공, 플러스 선물 카드 질량- 할당 규칙. Mutation-checked: findById를 찾아보기 모든 9 "foreign org"테스트는 빨간색 실패; 커밋하기 전에 복원.